À une époque où les violations de données ne sont souvent pas une question de « si »
,
mais de « quand », il est plus crucial que jamais de comprendre comment réagir efficacement à un incident de sécurité impliquant un tiers. Comment votre entreprise réagirait-elle si l'un de vos fournisseurs essentiels était victime d'une violation ? Les premières 24 heures suivant la découverte d'un incident impliquant un tiers sont cruciales pour donner le ton à vos efforts de réponse.
Cet article traite des défis liés à la réponse aux violations de données par des tiers et propose six mesures à prendre immédiatement après une cyberattaque réussie.
Défis liés à la réponse aux violations de données par des tiers
Se préparer à des scénarios hypothétiques et aux pires incidents peut s'avérer complexe pour toute entreprise qui travaille avec de nombreux tiers. La gestion de centaines, voire de milliers de relations avec des fournisseurs ajoute des niveaux de difficulté supplémentaires, rendant difficile le maintien d'un processus rigoureux de réponse aux incidents. Les principaux défis à relever sont les suivants :
- Manque de visibilité sur l'écosystème des fournisseurs : le fait que différents services gèrent les fournisseurs à l'aide d'outils disparates entraîne souvent l'absence d'une base de données centralisée sur les fournisseurs. Il est alors difficile d'évaluer et de gérer efficacement les risques liés aux fournisseurs.
- Processus manuels chronophages : s'appuyer sur des méthodes manuelles, telles que des feuilles de calcul et des enquêtes, pour suivre les contrôles de sécurité dans les écosystèmes tiers est inefficace, source d'erreurs et difficile à mettre à l'échelle.
- Questionnaires d'évaluation des risques inadéquats : de nombreux questionnaires ne parviennent pas à cerner les risques spécifiques liés aux fournisseurs et négligent d'évaluer la capacité d'un fournisseur à réagir rapidement aux incidents. Cela limite la capacité de l'organisation à évaluer avec précision son niveau de cybersécurité.
- Difficultés à suivre, évaluer et gérer les risques : sans processus structuré pour réévaluer les risques, les organisations ont souvent du mal à comprendre les implications des risques identifiés et à déterminer comment les hiérarchiser et les traiter.
- Absence de directives correctives normatives : sans conseils clairs et concrets, les vulnérabilités identifiées peuvent rester sans réponse, exposant ainsi l'organisation à des menaces potentielles.
- Rapports insuffisants sur les progrès et les mesures d'atténuation : La mauvaise qualité des rapports sur les efforts d'atténuation des risques nuit à la responsabilité et à la transparence, ce qui rend difficile la communication des progrès réalisés aux cadres supérieurs ou aux membres du conseil d'administration, en particulier dans les cas très médiatisés.
Ces défis augmentent le temps et le coût nécessaires pour détecter et atténuer les violations. En moyenne, les violations impliquant des tiers coûtent 11,8 % plus cher et prennent 12,8 % plus de temps à résoudre, leur cycle de vie s'étendant jusqu'à 307 jours. Il est essentiel de réduire les délais de détection et d'intervention afin de limiter les dommages, car plus le délai est long, plus les pirates ont de temps pour exploiter les systèmes. Par conséquent, les programmes de gestion des risques liés aux tiers, tout comme les programmes de sécurité interne, doivent être optimisés pour permettre une réponse rapide aux menaces émergentes.
Six mesures à prendre dans les 24 heures suivant une violation
Les étapes suivantes constituent une liste succincte des mesures à prendre si votre organisation est victime d'une violation de données par un tiers. Le type ou l'ampleur de la violation aura une incidence sur les mesures spécifiques que vous devrez prendre à chaque étape.
Remarque : ces étapes ne doivent pas être considérées comme des directives exhaustives en matière de gestion des incidents. Veillez à consulter votre équipe du centre des opérations de sécurité (SOC), vos auditeurs et d'autres parties internes.
1. Communiquer
Dès qu'un incident est détecté, établissez immédiatement la communication avec le tiers concerné. Il est essentiel de disposer d'un plan de communication préétabli dans le cadre de votre programme global de réponse aux incidents. Commencez par comprendre l'ampleur et l'impact de l'attaque, en particulier si elle concerne des données personnelles ou sensibles régies par des normes réglementaires. Discutez des accords de niveau de service (SLA) ou des obligations contractuelles, et concentrez-vous sur le maintien d'un dialogue calme et constructif.
Considération clé : Intégrez un arbre décisionnel de communication dans votre plan d'intervention en cas d'incident, en précisant les informations qui doivent être communiquées en fonction de vos connaissances actuelles et du moment où vous les avez découvertes, y compris les délais spécifiques pour les livrables.
2. Recueillir des informations
Une fois le contact établi et l'étendue de la violation comprise, recueillez des informations détaillées sur l'incident. Considérez cette étape comme une mini-évaluation post-violation. Posez des questions pour clarifier ce qui s'est passé, quelles données ont été consultées, les expositions potentielles et leurs plans de reprise. Il est essentiel de comprendre leur calendrier de reprise, en particulier si la violation a entraîné une interruption de service.
En cas de violation par un tiers, poser les bonnes questions vous aidera à comprendre et à atténuer efficacement l'impact sur votre organisation.
Questions recommandées (à adapter en fonction des spécificités de l'incident) :
- Une violation a-t-elle eu un impact sur le fournisseur, ou le fournisseur a-t-il utilisé un produit/service affecté par une violation ? (Oui/Non)
- Quelle est la nature de l'impact sur le fournisseur ? (Impact élevé/moyen/faible sur les systèmes, les applications et/ou les données)
- Cet incident a-t-il une incidence sur les services essentiels fournis à votre organisation ? (Oui/Non)
- Le fournisseur a-t-il pris les mesures correctives suivantes ? (Énumérez les mesures recommandées, telles que l'application de correctifs ou la mise à jour des systèmes concernés.)
- Le fournisseur a-t-il modifié les contrôles existants ou mis en place de nouveaux contrôles pour résoudre et atténuer l'impact de la violation ? (Identifiés et déjà mis en œuvre ; identifiés et en cours de mise en œuvre ; non identifiés et/ou impossibles à mettre en œuvre)
- Si les contrôles ne peuvent être mis en œuvre, quels contrôles compensatoires ou méthodes de contournement sont mis en œuvre ?
- Qui est la personne à contacter pour toute question supplémentaire ?
3. Isoler
Les stratégies de confinement varient en fonction du type de violation et du niveau d'accès du fournisseur. Par exemple, si le fournisseur a accès à vos données mais pas à votre infrastructure, vous pouvez cesser d'utiliser le service ou la plateforme jusqu'à ce que vous en sachiez davantage. Cependant, si le fournisseur dispose d'un quelconque niveau d'accès à votre environnement informatique, mettez immédiatement en quarantaine et isolez l'accès.
Dans la mesure du possible, isolez les systèmes et les points d'accès affectés afin d'empêcher tout nouvel accès non autorisé. Mettez en place des restrictions au niveau des hôtes locaux, des contrôles d'accès au réseau, des restrictions de privilèges et, si nécessaire, supprimez ou verrouillez des comptes. Un guide d'isolation préétabli pour les fournisseurs, les prestataires de services et les logiciels permettra de rationaliser ce processus. Sans un plan d'intervention complet en cas d'incident, votre équipe pourrait avoir du mal à réagir rapidement, ce qui augmenterait le risque de dommages supplémentaires.
4. Remédier
Les mesures correctives doivent être rapides et efficaces. L'approche variera en fonction de l'endroit où la violation s'est produite. Si les systèmes internes sont compromis, vous devez corriger ou atténuer les vulnérabilités afin de contrôler le « rayon d'action » aussi rapidement que possible. Si la violation se limite à un tiers, concentrez-vous sur la compréhension des données affectées, le lancement des notifications de violation et la mise en conformité avec les réglementations applicables.
5. Surveiller le comportement
La surveillance est essentielle pour détecter et comprendre l'impact de la violation et empêcher tout nouvel accès non autorisé. Surveillez les comportements internes des plateformes ou logiciels concernés. Les activités inhabituelles, telles que les connexions réseau inattendues, doivent vous alerter. Surveillez les activités d'accès à distance entre votre organisation et le tiers afin de détecter toute anomalie. Essayez de vous tenir informé des menaces ou vulnérabilités potentielles affectant des organisations ou technologies similaires.
6. Vérifier les renseignements sur les menaces
Tirez parti des renseignements sur les menaces pour mieux comprendre et atténuer l'impact de la violation. Les organisations qui utilisent ces renseignements peuvent détecter les violations environ 28 jours plus rapidement que celles qui ne le font pas. Identifiez les indicateurs internes de compromission (IOC) ainsi que les tactiques, techniques et procédures (TTP). Évaluez le type de données potentiellement exposées afin de déterminer comment formuler une réponse ciblée et informer les parties concernées de manière appropriée. De plus, surveillez les répercussions sur la réputation et suivez les informations publiques concernant le tiers impliqué afin de mieux comprendre les implications plus larges de la violation.
Un incident impliquant un tiers peut avoir de graves répercussions sur votre organisation. Il est essentiel de prendre des mesures immédiates, éclairées et décisives pour atténuer ces répercussions. Ces six étapes permettent d'atténuer les dommages et de jeter les bases d'un processus de rétablissement complet.
Prochaines étapes pour se préparer aux violations par des tiers
Il est évident que les violations et incidents impliquant des tiers peuvent avoir des répercussions importantes en aval sur les activités de votre organisation. Préparez-vous en tenant compte des risques liés aux tiers dans votre plan d'intervention en cas d'incident. Sachez qui vous allez contacter, quels sont les accords de niveau de service (SLA) concernés, quelles questions vous allez poser et comment vous allez procéder en fonction des réponses obtenues. Les programmes d'intervention en cas d'incident étant de nature réactive, la mise en œuvre de mesures proactives dans le cadre de votre programme global de gestion des risques liés aux tiers peut vous aider à prévenir les menaces avant qu'elles n'aient un impact sur votre organisation.
Pour plus d'informations, regardez mon webinaire à la demande traitant des incidents de cybersécurité impliquant des tiers et contactez Prevalent dès aujourd'hui pour une démonstration de ses capacités de réponse aux incidents impliquant des tiers.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
